FINAL PILIN

¿Cuál es la finalidad principal de la etapa de preservación de evidencia digital?. Modificar el archivo para facilitar su análisis. Mantener la evidencia en condiciones que permitan demostrar que corresponde al elemento originalmente recibido o adquirido. Eliminar los archivos que no sean relevantes para la investigación. Convertir todos los archivos a un formato compatible con el software forense.

De acuerdo con la metodología forense presentada, ¿cuál es la secuencia correcta de las cinco etapas fundamentales para el tratamiento de evidencia digital?. Análisis - Identificación - Documentación - Adquisición - Preservación. Preservación - Identificación - Análisis - Documentación - Adquisición. Identificación - Preservación - Adquisición → Análisis - Documentación. Adquisición - Análisis - Identificación -Preservación - Documentación.

Un perito recibe un archivo de video enviado mediante una aplicación de mensajería, mientras que otra evidencia consiste en una grabación extraída directamente del DVR que la generó. ¿Cuál es la consideración técnicamente más adecuada?. Ambos archivos son técnicamente equivalentes porque contienen las mismas imágenes. El archivo enviado por mensajería siempre tiene mayor valor probatorio. La fuente de procedencia constituye un elemento relevante para establecer el contexto y procedencia del archivo. La fuente de procedencia carece de importancia cuando el archivo puede reproducirse.

¿Cuál de las siguientes afirmaciones diferencia correctamente integridad y autenticidad de una evidencia digital?. La integridad establece la procedencia, mientras que la autenticidad determina si el archivo fue modificado. La integridad permite determinar si los datos son idénticos respecto de un estado de referencia, mientras que la autenticidad relaciona técnicamente y documentalmente la evidencia con su fuente o procedencia. Integridad y autenticidad son términos equivalentes y pueden utilizarse indistintamente. La autenticidad únicamente depende del valor hash obtenido del archivo.

Un investigador necesita examinar un disco duro sin trabajar directamente sobre la evidencia fuente. ¿Cuál procedimiento resulta más compatible con una metodología de preservación forense?. Abrir y modificar directamente los archivos del disco original. Generar una copia de trabajo y conservar la evidencia fuente. Formatear previamente el disco para evitar contaminación. Copiar únicamente los archivos visibles y eliminar los restantes.

Respecto de FTK Imager, ¿cuál afirmación describe correctamente su utilización dentro de un procedimiento de informática forense?. Es exclusivamente un reproductor de archivos audiovisuales y no permite realizar adquisiciones. Puede utilizarse como herramienta forense para realizar adquisición/imagien de evidencia y trabajar con copias forenses, según el procedimiento aplicado. Su única función es eliminar archivos innecesarios del dispositivo analizado. Sustituye automáticamente la cadena de custodia y la documentación pericial.

Un perito conecta un disco de evidencia a un equipo y utiliza FTK Imager para generar una imagen forense. ¿Cuál es el objetivo principal de generar dicha imagen?. Alterar la estructura original para mejorar su rendimiento. Crear una representación/copia forense de la evidencia que permita realizar el examen sobre una copia, preservando el original. Reducir obligatoriamente el tamaño de la evidencia. Convertir automáticamente todos los archivos a formato MP4.

Un perito utiliza el “Quick Hash” sobre un archivo de evidencia. ¿Qué procedimiento está realizando principalmente?. Una adquisición física bit a bit del dispositivo. Una extracción de archivos eliminados. El cálculo del valor hash del elemento seleccionado para obtener un valor de referencia de integridad. Una conversión del archivo a imagen forense.

¿Cuál de las siguientes afirmaciones establece correctamente la diferencia entre una adquisición forense y el uso de Quick Hash?. Ambas operaciones realizan exactamente la misma función. Quick Hash genera una imagen forense completa y la adquisición únicamente calcula el hash. La adquisición obtiene una copia/imagen forense de la evidencia, mientras que Quick Hash calcula un valor hash del elemento seleccionado. Ninguna de las dos operaciones tiene relación con la preservación de evidencia.

Se recibe un disco duro que contiene información potencialmente relevante. El perito desea obtener una imagen forense y posteriormente comprobar su integridad mediante valores hash. ¿Cuál procedimiento resulta más coherente?. Ejecutar Quick Hash y considerar que esto constituye automáticamente la adquisición forense. Realizar la adquisición/imagen correspondiente y utilizar valores hash como mecanismo de verificación de integridad. Modificar primero los archivos y después calcular el hash. Eliminar los archivos irrelevantes antes de generar la imagen.

Un archivo de video presenta un valor hash determinado antes de su traslado y otro valor diferente después del procedimiento. ¿Qué interpretación técnica inicial corresponde?. Los valores diferentes demuestran necesariamente que el video fue falsificado. La diferencia indica que los datos no son idénticos respecto del estado de referencia y requiere investigación sobre las causas del cambio. Los valores hash no tienen utilidad para verificar integridad. El segundo hash siempre debe ser diferente cuando se realiza una copia.

Al recibir directamente un archivo digital, ¿qué procedimiento resulta técnicamente adecuado?. Editar el original. Conservarlo y copiarlo. Convertirlo primero. Renombrarlo.

En un sistema DVR/NVR, ¿qué elemento debe registrarse para documentar técnicamente la adquisición?. Color del equipo. Configuración temporal. Marca del monitor. Tamaño de pantalla.

¿Cuál es la diferencia fundamental entre contenedor y códec?. Ambos son formatos. El códec almacena archivos. El contenedor estructura componentes. El contenedor comprime audio.

Un archivo con extensión MP4 puede contener video codificado mediante: WAV. H.264. JPEG. MP3.

¿Cuál de los siguientes parámetros corresponde a una característica técnica del archivo audiovisual?. Narración del hecho. Frecuencia de cuadros. Identidad del operador. Valoración jurídica.

¿Cuál es la secuencia forense establecida para el manejo de las copias?. Trabajo–fuente–preservación–derivados. Archivo Fuente–copia de preservación–copia de trabajo. Preservación–derivados–fuente–trabajo. Derivados–trabajo–fuente–preservación.

¿Sobre cuál archivo debe realizarse preferentemente el análisis técnico?. Evidencia fuente. Copia de trabajo. Archivo eliminado. Archivo temporal.

¿Cuál de las siguientes corresponde a una finalidad de las herramientas utilitarias?. Interpretación jurídica. Generación de hash. Determinación de culpabilidad. Identificación del responsable.

¿Por qué una herramienta informática no constituye por sí misma una metodología pericial?. Porque solo procesa imágenes. Porque requiere documentación técnica. Porque no genera resultados. Porque reemplaza al perito.

Si se calcula nuevamente el hash sobre exactamente los mismos datos y coincide el resultado, existe: Correspondencia del contenido. Identificación del autor. Confirmación del hecho. Determinación temporal.

¿Qué debe ocurrir normalmente con el valor HASH después de procesar legítimamente un archivo?. Debe permanecer idéntico. Debe eliminarse. Puede generarse un nuevo valor. Puede generarse un nuevo valor.

¿Cuál de los siguientes elementos puede formar parte de los metadatos?. GPS. Culpabilidad. Intencionalidad. Responsabilidad.

¿Qué debe orientar inicialmente el análisis técnico de audio y video?. Una conclusión jurídica. Una pregunta pericial concreta. Una hipótesis personal. Una interpretación subjetiva.

Para analizar la correspondencia entre audio y video debe considerarse la relación: Imagen–códec–metadatos. Evento visual–evento sonoro–respuesta posterior. Cámara–monitor–grabador. Archivo–carpeta–dispositivo.

¿Cuál es la finalidad de la planificación del análisis pericial?. Reducir la trazabilidad. Evitar procedimientos innecesarios. Modificar la evidencia. Sustituir la conclusión.

En un procedimiento reproducible, otro profesional competente debe poder determinar. Qué se hizo y con qué herramienta. Quién es responsable del hecho. Qué decisión debe tomar el juez. Qué sanción corresponde.

Para obtener y contrastar el valor HASH de un archivo mediante herramientas como QuickHash y FTK, ¿qué aspecto resulta fundamental?. Comparar los valores obtenidos. Modificar el archivo primero. Convertirlo antes a MP4. Eliminar sus metadatos.

¿Qué norma aborda la identificación y preservación de evidencia digital?. ISO/IEC 27037. ISO/IEC 27042. ISO 9001. ISO 17025.

¿Qué norma orienta el análisis e interpretación de evidencia digital?. SO/IEC 27037. ISO/IEC 27042. ISO 45001. ISO 9001.